殭屍網絡檢測技術 僵尸网络检测技术

<內容簡介>

僵屍網絡是指通過各種手段在多台電腦中植入惡意程序，使僵屍控制者能相對方便和集中地控制這些電腦，向這些受控制的電腦發布各種指令進行相應惡意活動的攻擊網絡。本書首先通過大量實驗介紹在僵屍和人的活動行為方面的差異，其次介紹一種基於主動技術的惡意代碼捕獲方法以及獲得僵屍樣本的通信數據和行為特徵的方法，最後介紹6種不同類型的僵屍網絡檢測方法。程光、吳樺、王會羽、張軍、陳玉祥編著的《僵屍網絡檢測技術》包括10章內容，第1章綜述了近年來國內外主要的僵屍網絡檢測方法的研究進展；第2章介紹僵屍的會話行為分析；第3章介紹主動僵屍代碼捕獲方法；第4章介紹僵屍提取和分析；第5章介紹僵屍源碼實例分析；第6章介紹基於DNS的僵屍網絡檢測方法；第7章介紹基於C＆C通道的僵屍網絡檢測方法；第8章介紹基於流量行為的僵屍網絡檢測方法；第9章介紹基於事件關聯的僵屍檢測方法；第10章介紹基於內容解析的僵屍網絡檢測方法。
    本書可供電腦科學、信息科學、網絡工程及流量工程等學科的科研工作人員、大學教師和相關專業的研究生與本科生，以及從事電腦網絡安全領域、網絡工程及網絡管理的工程技術人員閱讀參考使用。

<目錄>

 1 概論
  1.1 僵屍網絡檢測的意義
  1.2 惡意軟件特性
    1.2.1 電腦病毒
    1.2.2 電腦蠕蟲
    1.2.3 特洛伊木馬
    1.2.4 間諜軟件
    1.2.5 rootkit
    1.2.6 僵屍網絡
  1.3 僵屍網絡架構
    1.3.1 集中式C&C架構
    1.3.2 分佈式C＆C架構
    1.3.3 僵屍網絡中DNS的作用
    1.3.4 命令控制
  1.4 僵屍網絡的動機
    1.4.1 身份竊取
    1.4.2 垃圾郵件攻擊
    1.4.3 點擊欺詐
    1.4.4 DDoS攻擊
    1.4.5 信息泄露
    1.4.6 政治利益
  l.5 威脅特徵度量
    1.5.1 僵屍網絡規模
    1.5.2 垃圾郵件
    1.5.3 收集到的數據
    1.5.4 直接金融損失
    1.5.5 惡意軟件恢復能力
    l.5.6 惡意軟件攻擊傳播
  1.6 僵屍網絡被動測量技術
    1.6.1 包檢查
    1.6.2 流記錄分析
    1.6.3 基於DNS的檢測方法
    1.6.4 垃圾郵件記錄分析
    1.6.5 應用日誌文件分析
    1.6.6 蜜罐
    1.6.7 反病毒軟件結果評估
  1.7 僵屍網絡主動測量技術
    1.7.1 sinkholing
    1.7.2 滲透
    1.7.3 DNS緩存窺探
    1.7.4 fast-flux網絡的追蹤
    1.7.5 基於IRC的測量和檢測
    1.7.6 P2P網絡枚舉
    1.7.7 惡意軟件逆向工程
  1.8 僵屍網絡威脅應對對策
    1.8.1 黑名單
    1.8.2 假冒可追蹤憑證的分發
    1.8.3 BGP blackholing
    1.8.4 基於DNS的對策
    1.8.5 直接摧毀C&C服務器
    1.8.6 網絡和應用層上的包過濾
    1.8.7 阻塞25號埠
    1.8.8 P2P應對措施
    1.8.9 滲透和遠程殺毒
    1.8.10 公共預防措施
  1.9 小結
2 僵屍的會話行為分析
  2.1 引言
  2.2 背景技術
    2.2.1 聊天系統
    2.2.2 聊天bot
    2.2.3 相關工作
  2.3 測量分類
    2.3.1 測量數據
    2.3.2 日誌的分類
  2.4 分析
    2.4.1 人類行為
    2.4.2 周期型bot
    2.4.3 隨機型bot
    2.4.4 響應型bot
    2.4.5 重播型bot
  2.5 分類系統
    2.5.1 熵值分類器
……
3 主動僵屍代碼捕獲方法
4 僵屍提取和分析
5 僵屍源碼實例分析
6 基於DNS的僵屍網絡檢測方法
7 基於C＆C通道的僵屍網絡檢測方法
8 基於流量行為的僵屍網絡檢測
9 基於事件關聯的僵屍網絡檢測
10 基於內容解析的僵屍網絡檢測
參考文獻